Efterforskningsmetoden følger af, hvilken type handling der var tale om, fordi forskellige handlinger efterlader forskellige spor.
Forbrydelser mod personer — vold, drab, seksualforbrydelser. Bevismaterialet er i vidt omfang fysisk og medicinsk, det nedbrydes hurtigt, og de første timer har større betydning end i nogen anden kategori. Gerningssted, krop, lægeundersøgelse, vidner.
Ejendomsforbrydelser — indbrud, tyveri, hærværk. Sporene findes ved indgangsstedet og på det, der er blevet håndteret. Mængden er problemet snarere end kompleksiteten: Der arbejdes med kriminalteknisk prioritering og med efterretninger om serier frem for ét gerningssted ad gangen.
Finansiel og økonomisk kriminalitet — bedrageri, hvidvask, korruption. Bevismaterialet er dokumentbaseret og findes i registre, regnskaber og korrespondance. Det nedbrydes ikke, men tilsløres bevidst, og arbejdet består i rekonstruktion snarere end indsamling.
Organiseret kriminalitet — menneskehandel, narkotikahandel eller handel med skydevåben. Lovovertrædelsen er en struktur snarere end en hændelse, og den undersøges som et netværk: hvem flytter hvad, hvem betaler hvem, hvilken grænseovergang, hvilket selskab.
Cyberafhængig kriminalitet — indtrængen, ransomware. Bevismaterialet er flygtigt på en måde, som fysisk bevismateriale ikke er: Det ændrer sig, når det undersøges, og det kan ødelægges på afstand, mens efterforskningen er i gang.
Hvad der er det samme i dem alle. En beretning om, hvad der skete, afprøvet op imod materiale, der eksisterer uafhængigt af den beretning. Hver kategori ovenfor er et forskelligt svar på ét spørgsmål: Hvor findes det materiale, der ikke afhænger af nogens ord?
Kilde. UNODC, Handbook on police accountability, oversight and integrity og Crime scene and physical evidence awareness; Europol, Serious and Organised Crime Threat Assessment, https://www.europol.europa.eu/